摘要

  • RFC 7212 允许 MPLS 端点通过 G-ACh 通告能力、配置参数和应用专属信息，但发送方不会因此成为接收方的配置权主体。
  • 接收方通过逐数据通道启用、本地应用授权、应用专属处理规则、明确寿命和经认证的时效检查保留控制权。
  • 安全自动化必须留下可见的理由链：收到什么、由谁认证、有效到何时、哪条本地策略消费了它，以及某项配置为何改变。

通告是事实，不是命令

G-ACh Advertisement Protocol（GAP）解决的是传送网中的实际问题。LSP、伪线或段的端点，有时需要告诉对端自己支持哪些能力、采用哪些参数，或某个应用需要了解哪些通道信息。在无 IP 的 MPLS-TP 环境里，常见的 IP 发现机制可能不存在。与具体链路层无关的通告通道，因而可以减少脆弱的静态配置，并更早暴露两端不一致。

治理边界就在“通告”二字中。RFC 7212 规定了一种简单的单向模式：经配置的发送方传送按应用组织的类型化数据块。接收方可以验证或调整自己的配置，但双方的管理角色并未合并。发送和接收均按数据通道运行，并由运营者配置。所有 GAP 应用默认关闭。收到的数据只提供给确有需要且在本地获准查看的应用。

权力由此被清楚分开。发送方控制自己发布的陈述。接收侧运营者决定是否启用 GAP、哪个本地应用能够看到信息，以及该应用可以采取什么动作。应用规范决定 TLV 的含义。数据包抵达本身不能证明这些权限中的任何一项。

一个具体的控制场景

设想两个相邻 MPLS-TP 节点位于一段没有 IP 转发的以太网上。节点 A 使用 RFC 7213 定义的 Ethernet Interface Parameters 应用，通告自己的源 MAC 地址和最大帧长。节点 B 可以学习该地址，并把对端通告的帧长与自己的最低要求比较。

这是有价值的证据，却不是远程关闭链路的指令。RFC 7213 把后果交给已配置的本地策略：发现不匹配后，运营者可以选择关闭链路，也可以保持链路并通过 OAM 验证实际帧长。因此，同一条接收事实，在不同本地政策下可以支持不同但都合理的处置。

受益者并不只是协议实现。运营者获得可检查的对端状态、替换陈旧静态假设的手段，以及两端出现分歧时的诊断轨迹。RFC 7213 建议节点在重新配置、重启或察觉断链后尽早发送相应通告，以重新建立链路状态。应用获得一个不依赖特定链路发现协议的公共承载。这些收益都不要求交出本地变更权。

时效、身份与含义是三道不同检查

每个应用数据块都带有寿命。静态数据只能在指定期限内保留。寿命为零会立即把数据标为过期；不带 TLV 的空块还可以让该应用此前的数据失效。系统重启后，因对端通告而保留的状态必须丢弃。这不是普通缓存清理，而是防止过去的观察冒充当前依据。

认证回答的是另一问题。RFC 7212 定义了带密钥的消息认证，并利用时间戳帮助抵御重放。密钥标识与认证参数之间的关系，由运营者明确配置或由独立的密钥交换机制建立。因此，真实性、时效和语义授权仍彼此独立。有效的 MAC 可以证明消息受认可密钥保护，却不能决定本地应用是否应重写参数，也不能延长已经过期的数据。

未知应用数据从反方向说明了同一点。接收方即使无法解释某个应用，也可以在通告寿命内保留其字节，因为运营者可能用它诊断。保留证据并不等于执行。系统可以诚实地承认“不知道其含义”，而不是虚构动作。

运营成本应跟随决策权

GAP 有意把若干成本留给应用和运营者。发送方决定发送频率。超出报文容量的数据由应用自行分片，因为 GAP 不提供分片和重组。应用与运营者共同负责避免通告流量拥塞对端链路。密钥、时钟、重放容差、过期、重启清理和审计可见性都必须有明确责任人。

RFC 7212 还要求收到的数据可供运营者检查。如果入站信息改变本地配置，为什么改变必须清楚可见。这是决定性的治理控制：只有当回执能够重建“经认证的观察—本地规则—配置差异”这条链，自动化才仍然可治理。缺少这条记录时，便利会悄然把对端陈述变成无法解释的权力。

反事实并不抽象：硬件更换后，攻击者重放一条曾经合法的通告；重启后，系统继续使用本应清除的旧状态；应用把无法识别或未获授权的 TLV 当作命令。字节在格式上可能完全正确，结果配置却是错的。GAP 给出了避免这种局面的构件，前提是部署者不把这些构件混为一谈。

来源